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Ermittlungen gegen eine deutsch-britische Software-Firma wegen illegaler 
Überwachung von Oppositionellen in Bahrain und Deutschland 


Vorbemerkung der Fragesteller 

Das European Center for Constitutional and Fluman Rights (ECCFIR) und die 
britische Organisation Privacy International haben Anhaltspunkte, wonach bah- 
rainische Behörden unter anderem auch in Deutschland lebende Oppositionelle 
mithilfe des Gamma-Trojaners FinFisher unrechtmäßig ausgespäht haben. Am 
16. Oktober 2014 haben die Organisationen deshalb bei der Staatsanwaltschaft 
München Strafanzeige gegen Mitarbeiter des deutsch-britischen Konzerns 
Gamma eingereicht. Den Organisationen liegen Datensätze vor, die den Ver- 
dacht begründen, dass Gamma die Überwachungssoftware FinFisher nach Bah- 
rain lieferte sowie technische Flilfe von Deutschland aus leistete. Dadurch konn- 
ten laut ECCFIR bahrainische Behörden den Trojaner nutzen, um Computer in 
Deutschland auszuspähen. Die Staatsanwaltschaft hat eine entsprechende 
Ermittlungsaufnahme indes abgelehnt, obwohl aus Wikileaks-Dokumenten 
(www.wikileaks.org/spyfiles4/database.html) entsprechende Flinweise und In- 
formationen hervorgehen. Weitere Flinweise, insbesondere zur Situation in Bah- 
rain und zum Einsatz des Gamma-Trojaners FinFisher, lassen sich in etlichen 
Dokumenten auf der Flomepage der Nichtregierungsorganisation Bahrain 
Watch finden (vgl. www.bahrainwatch.org/blog/2014/08/07/uk-spyware-used- 
to-hack-bahrain-lawyers-activists/.). Laut Dr. Miriam Saage-Maaß, der stellver- 
tretenden Legal Director des ECCFIR, werden in Bahrain Menschenrechts- 
aktivisten, Journalisten und Oppositionelle systematisch überwacht, verfolgt, in- 
haftiert und immer wieder auch gefoltert. „Angesichts der Überwachungsrealität 
in Bahrain ist es absurd, zu sagen, staatliche Behörden könnten gar nicht 
,hacken‘ und gegen § 202a StGB [StGB - Strafgesetzbuch] - dem Verbot der 
Ausspähung von Daten — verstoßen“ (Pressemitteilung des ECCHR vom 
12. Dezember 2014). Die Staatsanwaltschaft München erklärte in ihrem Schrei- 
ben an das ECCHR vom 28. November 2014 unter Punkt 2aa), dass das Vorbe- 
reiten des Ausspähens von Daten gemäß § 202c StGB generell nicht die Herstel- 
lung und den Vertrieb von Software zur Datenerhebung durch staatliche Stellen 
erfasst, unabhängig davon, ob die Datenerhebung durch den Staat mithilfe der 
Software rechtmäßig erfolgt. 


Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern vom 11. Februar 2015 
übermittelt. 

Die Drucksache enthält zusätzlich - in kleinerer Schrifttype — den Fragetext. 
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Nach Informationen des ECCHR geht aus Daten von 77 Computern hervor, dass 
bahrainische Behörden mit dem Trojaner neben Geräten in Großbritannien auch 
je einen Computer in Belgien und Deutschland ausgespäht haben, ln Großbri- 
tannien waren davon unter anderem prominente bahrainische Menschenrechts- 
aktivisten betroffen. Die Identität der in Deutschland ausspionierten Person ist 
bisher nicht bekannt. 

Auch in Großbritannien und Belgien liegen derzeit Strafanzeigen gegen die 
Firma Gamma International, die FinFisher entwickelt und produziert hat, vor. 

Werbematerial der Firma zeigt, dass die Software den umfassenden Zugriff auf 
infizierte Geräte und alle enthaltenen Daten ermöglicht. Dazu gehört auch, dass 
Kameras und Mikrofone an Computern angezapft werden können. Laut Privacy 
International wird FinFisher-Software in 35 Ländern, darunter Äthiopien, Turk- 
menistan, Bahrain und Malaysia, eingesetzt. 

Da selbst das Bundeskriminalamt mindestens bis zum Jahr 2012 auf den Einsatz 
einer Version des Gamma-Trojaners verzichtete, weil die Software gegen die 
„standardisierende Leistungsbeschreibung“ der Bundesregierung (www. 
netzpolitik.org vom 21. August 2014 „Geheimes Dokument: Bundeskriminal- 
amt darf FinFisher/FinSpy nicht einsetzen, versucht einfach neue Version noch- 
mal“) und damit gegen verfassungsrechtliche Mindeststandards verstieß, wirft 
das ECCHR der Staatsanwaltschaft München außerdem vor, durch die Ent- 
scheidung keine Ermittlungen gegen Gamma International einzuleiten, die 
Rechtslage in Deutschland zu ignorieren. 


Vorbemerkung der Bundesregierung 

Soweit parlamentarische Anfragen Umstände betreffen, die aus Gründen des 
Staatswohls geheimhaltungsbedürftig sind, hat die Bundesregierung zu prüfen, 
ob und auf welche Weise die Geheimhaltungsbedürftigkeit mit dem parlamenta- 
rischen Informationsanspruch in Einklang gebracht werden kann. Die Bundes- 
regierang ist nach sorgfältiger Abwägung zu der Auffassung gelangt, dass die 
Fragen 13, 14, 15, 16 und 17 aus Geheimhaltungsgründen ganz oder teilweise 
nicht oder nicht in dem für die Öffentlichkeit einsehbaren Teil beantwortet wer- 
den können. Zwar ist der parlamentarische Informationsansprach grundsätzlich 
auf die Beantwortung gestellter Fragen in der Öffentlichkeit angelegt. Die Ein- 
stufung der Antworten auf die Fragen 13, 14, 15, 16 und 17 als Verschlusssache 
(VS) mit dem Geheimhaltungsgrad „VS - Nur für den Dienstgebrauch“ ist aber 
im vorliegenden Fall erforderlich. Nach § 3 Nummer 4 der Allgemeinen Verwal- 
tungsvorschrift zum materiellen und organisatorischen Schutz von Verschluss- 
sachen (Verschlusssachenanweisung - VSA) sind Informationen, deren Kennt- 
nisnahme durch Unbefugte für die Interessen der Bundesrepublik Deutschland 
oder eines ihrer Länder nachteilig sein können, entsprechend einzustufen. Eine 
zur Veröffentlichung bestimmte Antwort der Bundesregierung auf diese Fragen 
würde spezifische Informationen — insbesondere zur Methodik und den konkre- 
ten technischen Fähigkeiten der Sicherheitsbehörden - einem nicht eingrenzba- 
ren Personenkreis zugänglich machen. Dabei würde die Gefahr entstehen, dass 
ihre bestehenden oder in der Entwicklung befindlichen operativen Fähigkeiten 
und Methoden aufgeklärt würden. Dies kann für die wirksame Erfüllung der ge- 
setzlichen Aufgaben der Sicherheitsbehörden und damit für die Interessen der 
Bundesrepublik Deutschland nachteilig sein. Diese Informationen werden daher 
gemäß § 3 Nummer 4 VSA als „VS - Nur für den Dienstgebrauch“ (VS-NfD) 
eingestuft und dem Deutschen Bundestag gesondert übermittelt. 
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1. Haben die Bundesregierung und deutsche Sicherheitsbehörden Kenntnis 
über die Ausspähung in der Bundesrepublik Deutschland lebender Opposi- 
tioneller mithilfe des Gamma-Trojaners FinFisher, und wenn ja, durch wen 
erfolgt die Überwachung und wer ist davon betroffen? 

Der Bundesregierung liegen hierzu keine über die diesbezügliche Medienbe- 
richterstattung hinausgehenden Erkenntnisse vor. 


2. Ist der Bundesregierung bekannt, ob auch Rechner und Informationssysteme 
von an Asylverfahren beteiligten Einrichtungen, vor allem des Bundes, Ziel 
der Ausspähung durch Geheimdienste von Staaten sind, die Oppositionelle 
verfolgen? 

a) Sind der Bundesregierung derartige Angriffe bekannt, und wenn ja, auf 
welche Einrichtungen sind diese wann, von wem und mit welchem Ziel 
jeweils erfolgt, und welche Konsequenzen seitens der Sicherheitsbehör- 
den, des Bundesamts für Sicherheit in der Informationstechnik oder des 
Bundesamtes für Verfassungsschutz hatte dies jeweils? 

Der Bundesregierung ist bekannt, dass eine Vielzahl von Stellen des Bundes von 
elektronischen Angriffen mit vermutlich nachrichtendienstlichem Hintergrand 
betroffen sind, darunter auch an Asylverfahren beteiligte Einrichtungen des 
Bundes wie beispielsweise das Bundesamt für Migration und Flüchtlinge 
(BAMF), das Bundesministerium für wirtschaftliche Zusammenarbeit und Ent- 
wicklung und das Auswärtige Amt. Es sind bisher nur Mutmaßungen darüber 
möglich, wer diese Angriffe mit welcher Zielsetzung initiierte. Ein spezieller 
Zusammenhang mit der durch bestimmte fremde Nachrichtendienste betriebe- 
nen gezielten Ausspähung von Oppositionellen ist bislang nicht ersichtlich. 


b) Sind der Bundesregierung gmndsätzlich Angriffe auf die Kommunika- 
tionsinfrastruktur des Bundes bekannt, die mit Produkten der Gamma- 
Firmengrappe verübt wurden? 


Nein. 


3. Wie beabsichtigt die Bundesregierung ihrer Schutzpflicht gegenüber ihren 
Bürgerinnen und Bürgern aber auch gegenüber Asylsuchenden in Deutsch- 
land nachzukommen, sie vor Zugriffen ausländischer Geheimdienste zu 
schützen? 

Die Bundesregierung ist sich der anhaltenden Bedrohung durch Spionage frem- 
der Nachrichtendienste für Staat und Wirtschaft, aber auch für Bürgerinnen und 
Bürger gerade in Zeiten einer weiter zunehmenden digitalen Vernetzung be- 
wusst. Um Bürgerinnen und Bürger besser vor Ausspähung privater und ge- 
schäftlicher Daten zu schützen - unabhängig davon, ob diese Ausforschung 
durch fremde Nachrichtendienste oder etwa kriminelle Hacker erfolgt — hat sich 
die Bundesregierung in der Digitalen Agenda zum Ziel gesetzt, Verschlüsselung 
von privater Kommunikation in der Breite zum Standard werden zu lassen und 
die Anwendung von Sicherheitstechnologien wie beispielsweise De-Mail aus- 
zubauen. Hierbei hat sich auch das Konzept der staatlichen Zertifizierung von 
im Wettbewerb angebotenen Produkten und Diensten auf Basis definierter Si- 
cherheitsstandards durch das Bundesamt für Sicherheit in der Informationstech- 
nik (BSI) bewährt. 

Die innerhalb der Bundesverwaltung für die Bearbeitung von Vorgängen im Zu- 
sammenhang mit Asylsuchenden zuständigen Behörden BAMF und Bundesver- 
waltungsamt (BVA) setzen ein Informationssicherheitsmanagement gemäß der 
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Empfehlungen im „Umsetzungsplan für die Gewährleistung der IT-Sicherheit in 
der Bundesverwaltung“ (UP Bund) um und sind in die gesicherten IT-lnff astruk- 
turen des Bundes eingebunden und somit besonders vor IT- Angriffen geschützt. 
Zur Durchführung des Asylverfahrens werden die Daten von Asylbewerbern 
beim BAMF in einer elektronischen Asylverfahrensakte (IT-System MARIS) 
vorgehalten, die nach den Vorgaben des UP Bund und denen des BSl gesichert 
ist. Das im BVA betriebene Ausländerzentralregister, in dem Daten von Auslän- 
dem zur Durchführung ausländer- oder asylrechtlicher Vorschriften vorgehalten 
werden, verfügt über keine Verbindung zum Internet und kommuniziert mit an- 
deren Behörden und Stellen nur innerhalb der besonders gesicherten IT-Netzin- 
frastraktur der Verwaltung und dort nur mittels gesicherten Verbindungen. Die 
Mitarbeiter in diesem Aufgabenbereich sind sicherheitsüberprüft und arbeiten in 
besonderen Sicherheitsbereichen. Weitere Schutzmaßnahmen sind in Absprache 
mit dem BSl eingerichtet. 


4. Welche Schlussfolgemngen und Konsequenzen zieht die Bundesregiemng 
aus den auf der Wikileaks-Plattform veröffentlichten Dokumenten zur 
Gamma-Firmengmppe im Hinblick auf ihre Beweiskraft? 

Befürwortet die Bundesregiemng, dass gegen das Unternehmen Ermittlun- 
gen erfolgen? 

Die Strafverfolgung obliegt in Deutschland grundsätzlich den Ländern. Die 
Bundesregierung hat in dieser Hinsicht keinerlei Weisungs- oder Aufsichts- 
rechte und kann insoweit weder die Beweiskraft einzelner Vorgänge einschätzen 
noch beurteilen, ob in bestimmten Einzelfällen Ermittlungen einzuleiten sind 
oder nicht. Die Beurteilung der Frage, ob zureichende tatsächliche Anhalts- 
punkte dafür vorliegen, ein Ermittlungsverfahren einzuleiten, ist Sache der zu- 
ständigen Staatsanwaltschaft. 


5 . Welche Maßnahmen wird die Bundesregiemng in Bezug auf den Inhaber 
der IP-Adresse 217.86.164.76 ergreifen, der laut im August 2014 veröffent- 
lichter Dokumente möglicherweise seit 2011 in Deutschland vom bahraini- 
schen Geheimdienst ausgespäht wird? 

Die (Medien-)Hinweise auf Ausspähaktivitäten durch fremde Geheimdienste 
unter Nutzung der Software „FinFisher“ sind Gegenstand eines Beobachtungs- 
vorgangs des Generalbundesanwalts beim Bundesgerichtshof, in dem geprüft 
wird, ob ein Anfangsverdacht einer geheimdienstlichen Agententätigkeit zu be- 
jahen ist. Die Prüfungen sind jedoch noch nicht abgeschlossen. 


6. Stimmt die Bundesregiemng der Auffassung der Staatsanwaltschaft Mün- 
chen zu, wonach das Vorbereiten des Ausspähens von Daten gemäß § 202c 
StGB generell nicht die Herstellung und den Vertrieb von Software zur 
Datenerhebung durch staatliche Stellen erfasst, unabhängig davon, ob die 
Datenerhebung durch den Staat mithilfe der Software rechtmäßig erfolgt? 

Die Einschätzung der Strafbarkeit des Verbreitens bestimmter Programme ob- 
liegt den dafür zuständigen Strafverfolgungsbehörden und Gerichten. 
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7. Ist die Bundesregierung Hinweisen darauf, dass Gamma International bzw. 
FinFisher Labs GmbH kontinuierlich Updates an Bahrain liefert bzw. die 
Technologie wartet, nachgegangen (www.netzpohtik.org vom 2. August 
2014 „Gamma FinFisher: Überwachungstechnologie „made in Germany“ 
gegen Arabischen Frühling in Bahrain eingesetzt (Update)“ und www. 
spiegel.de vom 8. August 2014 „FinFisher-Software: Kundendienst half bei 
Überwachung in Bahrain“)? 

a) Würden solche Wartungen im Zusammenhang mit Bahrain nach Ansicht 
der Bundesregierung einen Einzeleingriff gemäß § 6 des Außenwirt- 
schaftsgesetzes (AWG) rechtfertigen bzw. gegen die geänderte Europä- 
ische Verordnung (EG) Nr. 428/ 2009 (EG-Dual-Use-Verordnung) ver- 
stoßen? 

b) Liegen der Bundesregierung entsprechende Anträge der Gamma- bzw. 
FinFisher-Firmengruppe oder des Unternehmens Elaman vor? 

Zur Exportkontrolle von Gütern der Überwachungstechnik hat die Bundesregie- 
rung in ihrer Antwort auf die Kleine Anfrage der Fraktion BÜNDNIS 90/DIE 
GRÜNEN „Haltung der Bundesregierung bezüglich der Effektivierung von 
Exportkontrollen für doppelverwendungsfähige Überwachungstechnologie und 
Zensursoftware“ auf Bundestagsdrucksache 18/2374 vom 18. August 2014, aus- 
führlich Stellung genommen. Dabei hat sich die Bundesregierung auch zu 
Lieferungen von Software durch die Firma Gamma nach Bahrain geäußert (vgl. 
Antwort der Bundesregierung zu Frage 10 der vorgenannten Kleinen Anfrage). 
Die Bundesregierung wird aufgrund von Kenntnissen tätig, die in regulären be- 
hördlichen Verfahren, insbesondere in Antragsverfahren für Ausfuhrgenehmi- 
gungen, gewonnen werden. Anträge der in der Frage angesprochenen Unterneh- 
men zu Ausfuhren nach Bahrain liegen der Bundesregierung nicht vor. Aus den 
in der Frage zitierten Presseberichten ergeben sich darüber hinaus keine neuen 
Aspekte. 

Ohne behördliche Kenntnis im dargelegten Sinne über die konkreten Güter oder 
diesbezüglichen Serviceleistungen kann eine rechtliche Prüfung nicht erfolgen. 
Grundsätzlich aber gilt: Die Bundesregierung wird bei entsprechender Kenntnis 
auch Ausfuhren, die keiner Genehmigungspflicht unterliegen, im Einzelfall mit- 
tels des Instruments des Einzeleingriffs nach § 6 des Außenwirtschaftsgesetzes 
(AWG) unterbinden, wenn durch diese Ausfuhren eine Gefahr für die in § 4 Ab- 
satz 1 AWG genannten Rechtsgüter bestünde. Auch in Bezug auf technische 
Unterstützung in Form von Wartungen, die nicht als eigenständige Ausfuhr qua- 
lifiziert werden können, prüft die Bundesregierung dies intensiv. 


8. Wie viele Liefemngen von Überwachungstechnologie und Zensursoftware 
an Drittstaaten wurden im Zuge der vom Bundesminister für Wirtschaft und 
Energie, Sigmar Gabriel, am 19. Mai 2014 angekündigten strengeren Kon- 
trolle des Exports von Überwachungstechnologie und Zensursoftware durch 
den Zoll auf Gmndlage des Instmments des Einzeleingriffs gemäß § 6 
AWG untersagt (bitte mit Exportgut und Empfängerland konkret angeben)? 

Die im Rahmen des Wassenaar-Arrangements beschlossenen erweiterten Kon- 
trollen bei Gütern der Überwachungstechnik, für die auf die Antwort zu Frage 1 
der Kleinen Anfrage der Fraktion BÜNDNIS 90/DIE GRÜNEN „Haltung der 
Bundesregierung bezüglich der Effektivierung von Exportkontrollen für doppel- 
verwendungsfähige Überwachungstechnologie und Zensursoftware“, Bundes- 
tagsdrucksache 18/2374 vom 18. August 2014 verwiesen wird, sind zwischen- 
zeitlich in Kraft getreten. Vor Inkrafttreten dieser neuen Genehmigungspflichten 
hat die Bundesregierung keine Kenntnis von Ausfuhren erlangt, die nunmehr 
von einer dieser neuen Genehmigungspflichten erfasst wären und bis dahin 
einen Einzeleingriff nach § 6 AWG zu deren Verhinderung erforderlich gemacht 
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hätten. Insofern wurden auch keine Lieferungen von Überwachungstechnik an 
Drittstaaten auf Grundlage des Instruments des Einzeleingriffs nach § 6 AWG 
durch die Zollverwaltung angehalten. Im Übrigen wird auf die Antwort zu 
Frage 7 verwiesen. 


9. Wie viele Liefemngen von Überwachungstechnologie und Zensursoftware 
an Drittstaaten sind seit der Ankündigung des Bundesministers für Wirt- 
schaft und Energie, Sigmar Gabriel, vom 19. Mai 2014 nach Kenntnis der 
Bundesregiemng erfolgt (bitte mit Exportgut und Empfängerland konkret 
angeben)? 

Zur Definition von Überwachungstechnik wird auf die Antwort zu Frage 1 der 
Kleinen Anfrage der Fraktion BÜNDNIS 90/DlE GRÜNEN „Haltung der Bun- 
desregierung bezüglich der Effektivierung von Exportkontrollen für doppelver- 
wendungsfähige Überwachungstechnologie und Zensursoftware“, Bundestags- 
drucksache 18/2374 vom 18. August 2014, verwiesen. Die in Deutschland seit 
dem 19. Mai 2014 erteilten Ausfuhrgenehmigungen und Nullbescheide zu 
Exporten von Gütern der Überwachungstechnik einschließlich von Gütern der 
Telekommunikationsüberwachung (TKÜ) in Drittländer (§ 2 Absatz 8 AWG) 
betreffen Anträge von Unternehmen, die in Deutschland niedergelassen sind. 
Hiermit ist nichts über die Ausnutzung der Ausfuhrgenehmigungen und Nullbe- 
scheide oder tatsächliche Lieferungen gesagt. 


Gut 

Bestimmungsland 

Entschlüsselungseinrichtung für 
Satellitenkommunikationssystem 

Ägypten 

Entschlüsselungseinrichtung für 
Satellitenkommunikationssystem 

Indien 

Systemkomponenten für ein 
Monitoring Center 

Indonesien 

IMSl-Catcher 

Marokko 

IMSl-Catcher 

Montenegro 

SAP-Untemehmenssoftware mit 
Verschlüsselungsbibliothek 

Nigeria 

Entschlüsselungseinrichtung für 
Satellitenkommunikationssystem 

Schweiz 

Interception Center 

Taiwan 


10. Wie bewertet die Bundesregiemng den Einsatz des FinFisher-Trojaners in 
Deutschland in rechtlicher Hinsicht? 

Nach dem Verständnis der Bundesregierung betrifft Frage 10 ausschließlich ei- 
nen Einsatz der erwähnten FinFisher-Software durch fremde Staaten und nicht 
durch deutsche staatliche Stellen. Hierzu wird auf die Antwort zu Frage 4 ver- 
wiesen. Eine Einschätzung der Strafbarkeit des Einsatzes bestimmter Pro- 
gramme obliegt grundsätzlich den dafür zuständigen Strafverfolgungsbehörden 
und Gerichten. 
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11. Inwieweit treffen Berichte zu (www.sueddeutsche.de vom 15. April 2014 
„Allianz gegen die Feinde des Internets“ und www.ndr.de vom 
7. Dezember 2011 „Exporthilfe für Überwachungstechnologie“), dass es 
außer den zwei zugestandenen Hermesbürgschaften für Überwachungs- 
technologie in den Jahren 2005 und 2006 weitere Hermesbürgschaften für 
solche Software gegeben hat? 

Auf Bundestagsdrucksache 18/2374 teilte die Bundesregierung mit, dass im 
Zeitraum von 2003 bis 2013 zwei Exportkreditgarantien für die Lieferung in Te- 
lekommunikationsprojekte nach Malaysia und Russland übernommen wurden, 
die auch Überwachungstechnik enthielten. Diese Übernahmen erfolgten im Jahr 
2005. Darüber hinaus ist festzustellen, dass in den Jahren 2000 und 200 1 Export- 
kreditgarantien für Ausfuhren von Überwachungstechnik nach Litauen über- 
nommen wurden. 


12. Wie erklärt die Bundesregiemng ihre widersprüchlichen Angaben gegen- 
über den Bundestagsabgeordneten und der Presse zum Export von Über- 
wachungssoftware (vgl. Süddeutsche Online vom 28. November 2014)? 

Die Angaben der Bundesregierung gegenüber Bundestagsabgeordneten und der 
Presse waren jederzeit konsistent und nicht widersprüchlich. In der Kleinen An- 
frage der Fraktion BÜNDNIS 90/DIE GRÜNEN „Haltung der Bundesregierang 
bezüglich der Effektivierung von Exportkontrollen für doppelverwendungs- 
fähige Überwachungstechnologie und Zensursoftware“ auf Bundestagsdrack- 
sache 1 8/2067 (neu) wurde die Bundesregierung nach Ausfuhren in den Jahren 
2003 bis 2013 gefragt. Die Recherche und die von der Bundesregierung in ihrer 
Antwort zu Frage 2 auf Bundestagsdracksache 18/2374 übermittelte Tabelle wa- 
ren auf die Vorgaben der Bundestagsabgeordneten zugeschnitten. Daher bezog 
sich diese Frage lediglich auf Ausfuhren. Dies sind Lieferungen in Drittländer, 
also in Gebiete außerhalb des Zollgebiets der Europäischen Union. Gleichzeitig 
wies die Bundesregierung daraufhin, dass ihr keine Informationen zu getätigten 
Ausfuhren vorliegen. Zur Gewährleistung größtmöglicher Transparenz über- 
mittelte die Bundesregierung nicht nur die ihr vorliegenden Informationen zu 
erteilten Ausfuhrgenehmigungen, sondern auch zu Nullbescheiden. Solche 
Nullbescheide genehmigen die Ausfuhr nicht, sondern stellen rechtsverbindlich 
fest, dass ein bestimmtes Vorhaben weder verboten noch genehmigungspflichtig 
ist. 

Um bei im Wesentlichen gleich gelagerten Anfragen untereinander konsistente 
Zahlen herauszugeben, hat die Bundesregierung im Folgenden auch gegenüber 
der Presse auf Basis der genannten Tabelle geantwortet. Die von einem einzel- 
nen Journalisten wahrgenommenen Abweichungen zu älteren Anfragen, die 
eine zwangsläufige Folge punktueller respektive unterschiedlich formulierter 
Anfragen sind und damit zu anderen Prämissen bei der Recherche führen, wur- 
den durch die Bundesregierung gegenüber diesem Journalisten aufgeklärt. 


1 3 . Wann genau hat das Bundeskriminalamt von der Gamma- bzw. F inF isher- 
Firmengmppe den Staatstrojaner FinSpy 4.20 gekauft, wie hoch waren die 
Kosten, und wie oft wurde dieser mittlerweile eingesetzt? 

Vorbemerkung der Bundesregierung zu den Fragen 13 bis 16 

Die Verwendung des Begriffs „Staatstrojaner“ ist im Kontext der Fragestellung 
missverständlich. Als „Trojaner“ wird im EDV- Jargon üblicherweise ein Com- 
puterprogramm bezeichnet, das als nützliche Anwendung getarnt ist, im Hinter- 
grund ohne Wissen des Anwenders jedoch eine andere (aus Sicht des Anwen- 
ders gegebenenfalls unerwünschte, schädliche) Funktion erfüllt. Bei der durch 
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das Bundeskriminalamt (BKA) beschafften Software handelt es sich um eine 
Software für die Durchführung von Maßnahmen der Quellen-Telekommunika- 
tionsüberwachung (Quellen-TKÜ), die ausschließlich den Zweck der Auslei- 
tung laufender Kommunikation der betroffenen Person von deren Endgerät — bei 
abgehender Kommunikation vor der Verschlüsselung beziehungsweise bei ein- 
gehender Kommunikation nach der Entschlüsselung - und insbesondere keine 
scheinbar nützlichen Funktionen zum Zwecke der Tarnung erfüllt. 

Zu Frage 13. 

Es wird auf den „VS - Nur für den Dienstgebrauch“ eingestuften Antwortteil ge- 
mäß der Vorbemerkung der Bundesregierung verwiesen.* 


14. Sofern der Staatstrojaner FinSpy 4.20 nicht eingesetzt wurde, worin be- 
standen bzw. bestehen die Gründe? 

15. Welche andere Version des FinSpy-Trojaners wurde bzw. wird im Bundes- 
kriminalamt eingesetzt (bitte nach Version und Anzahl der eingesetzten 
Fälle aufschlüsseln)? 

16. Inwiefern und mit welcher Begründung trifft es zu, dass die Firma CSC 
Deutschland Solutions GmbH letztes Jahr festgestellt hatte, dass die Soft- 
ware in der Version 4.20 gegen deutsches Recht verstößt bzw. verstieß 
(www.netzpolitik.org vom 8. Januar 2015 „Informationsfreiheits-Ableh- 
nung des Tages: Informationsfreiheits-Beauftragte lehnt Anfrage zu ille- 
galem Trojaner ab“)? 

Die Fragen 14 bis 16 werden gemeinsam beantwortet. 

Es wird auf die Vorbemerkung zu den Fragen 13 bis 16 sowie auf den „VS - Nur 
für den Dienstgebrauch“ eingestuften Antwortteil gemäß der Vorbemerkung der 
Bundesregierung verwiesen.* 


17. Wird von der CSC ein Vorschlag gemacht, wie der Einsatz der 
Version 4.20 technisch und rechtlich ermöglicht werden könnte, und wenn 
ja, wie sieht dieser aus? 

Es wird auf den „VS - Nur für den Dienstgebrauch“ eingestuften Antwortteil ge- 
mäß der Vorbemerkung der Bundesregierung verwiesen.* 


18. Aus welchen Gründen ist der CSC-Prüfbericht als geheim eingestuft, und 
wann wurde er wie dem Deutschen Bundestag zugänglich gemacht? 

Die Einstufung erfolgte nach Prüfung des Dokuments unter Maßgabe des § 3 
VSA. Es handelt sich hier um eine verdeckte polizeiliche Einsatzmaßnahme, 
deren technische Funktionsweise aus einsatztaktischen und polizeifachlichen 
Gründen sensibel behandelt werden muss. Die Prüfung ergab, dass in dem Do- 
kument unter anderem Informationen zur Funktionsweise von Quellen-TKÜ- 
Software enthalten sind. Eine Veröffentlichung dieser Informationen würde un- 
ter Umständen zur Wirkungslosigkeit beziehungsweise zumindest zu einer ein- 
geschränkten Wirkung zukünftiger Maßnahmen der Quellen-TKÜ führen und 


* Das Bundesministerium des Innern hat die Antwort als „VS - Nur für den Dienstgebrauch “ eingestuft. 
Die Antwort ist im Parlamentssekretariat des Deutschen Bundestages hinterlegt und kann dort von Be- 
rechtigten eingesehen werden. 
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hätte somit schweren Schaden für die (innere) Sicherheit der Bundesrepublik 
Deutschland zur Folge. Ein Einsatz der Software soll bei der Verfolgung 
schwerster Straftaten bzw. bei Gefahrenlagen zum Schutz von Leib und Leben 
erfolgen. Im Ergebnis wird diese Bewertung des BKA durch die Bundesbeauf- 
tragte für den Datenschutz und die Informationsfreiheit, die im Rahmen einer 
diesbezüglichen Informationsffeiheitsgesetz-Anfrage von einem Petenten um 
Vermittlung gebeten wurde, geteilt. 

Der Prüfbericht wurde den Abgeordneten des Deutschen Bundestages bislang 
noch nicht zugänglich gemacht. Der Prüfbericht kann bei Bedarf über die Ge- 
heimschutzstelle des Deutschen Bundestages dem dazu berechtigten Personen- 
kreis zur Einsichtnahme zur Verfügung gestellt werden. 
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